CVE-2026-87902とは？WordPressの攻撃手口と対策

「CVE-2026-87902というWordPressの脆弱性が危険らしいけれど、
自分のサイトも攻撃されるの？」と不安になっていませんか？

この問題はWordPress本体にある重大な脆弱性です。
ログインしていない攻撃者でも、条件が揃うとサーバー上で不正な命令を実行できるおそれがあります。

すでに公開サイトを探す攻撃だけでなく、ファイルを書き込む攻撃も観測されています。
「小さなサイトだから狙われない」と考えず、WordPress本体を直ちに更新してください。

よこやま良平

WordPressの復旧を多数手がけてきたよこやま良平です。わたしの現場経験をもとに、CVE-2026-87902の攻撃の仕組みと、初心者が今すぐ行う対策をわかりやすく解説します。

結論は、WordPress 7.1.2または利用中の系列に用意された修正版へ、
できるだけ早く更新することです。

クイックレスキュー365にご加入中の管理対象サイトは、
CVE-2026-87902への必要な対策をすでに実施済みです。どうぞご安心ください。

【無料プレゼント】
WordPress緊急チェック50

「自分のサイトは今、安全なのか？」
自信を持って答えられますか？

こんなお悩みはありませんか？

• ある朝、サイトを開いたら真っ白画面になっていた
• 管理画面にログインできなくなって手が止まった
• 身に覚えのない記事やページが勝手に増えていた
• プラグインを更新したらサイト全体が崩れてしまった
• 以前バックアップを取ったか自分でも覚えていない

累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。

セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。

今すぐ無料ダウンロードする →

※登録後すぐにメールで特典をお届けします

CVE-2026-87902とは何か

CVE-2026-87902は、WordPress本体のページテンプレート探索にある、
認証不要のパストラバーサル脆弱性です。深刻度はCVSS 9.2の「Critical」と評価されています。

難しく見えますが、簡単に言えば「本来はテーマ内だけを探す仕組みに、
サーバー内の別のPHPファイルまで読ませられる抜け道があった」という問題です。

ページの見た目を決める処理に弱点があった

WordPressは固定ページを表示する時、使用中テーマの中から、
ページに合うテンプレートファイルを順番に探します。

ところが修正前は、外部から渡されたページ名の扱いが不十分でした。
細工された値を受け取ると、テーマの外へ出る経路が候補に混ざる場合がありました。

情報漏えいから遠隔コード実行へ発展する

テーマ外のPHPを読み込まれるだけでも危険ですが、
サーバー環境によっては、そのPHPを悪用してファイルを書き込み、不正な命令を実行できます。

GitHub

Unauthenticated path traversal in page-template resolution leading to conditional RCE An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directo…

CVE-2026-87902はどう攻撃されるのか

CVE-2026-87902の攻撃は、サイトのトップページやindex.phpへ、
ページ名とページIDを組み合わせた細工済みリクエストを送るところから始まります。

攻撃者は管理画面へログインする必要がありません。
世界中のWordPressを自動で探し、条件に合うサイトへ同じ攻撃を一斉に試せます。

1. 細工したページ名でテーマの外を探させる

攻撃リクエストには、二重に符号化した「上のフォルダへ戻る」指示が混ぜられます。
入力時の確認をすり抜けた値が後で復号され、テーマ外への経路へ変わります。

WordPressのget_page_template()がその経路をテンプレート候補へ追加すると、
サーバー内にある別の読み取り可能なPHPが読み込まれる場合があります。

2. サーバー内のPHPを足場に命令を実行する

公式アドバイザリでは、サーバーにあるpearcmd.phpとPHP設定が組み合わさると、
読み込みから任意ファイルの作成、遠隔コード実行へつながる例が示されています。

ただし、PEARはWordPressの必須部品ではなく、すべての環境に存在するわけではありません。
「古いWordPressなら必ず即乗っ取られる」わけではありませんが、危険な入口が残るため更新は必須です。

この記事では防御と確認に必要な仕組みだけを説明し、実際に悪用できるリクエストや攻撃コードは掲載していません。

公開当日から実際の攻撃が始まった

Patchstackは、2026年9月22日の修正版公開から数時間以内に、
CVE-2026-87902を狙う通信を観測したと報告しています。

翌23日には通信量が増え、サーバーの一時フォルダへPHPを書き込む段階まで進みました。
公開された自動スキャン用ツールも流通しており、対策を後回しにできる状況ではありません。

Patchstack

CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch – Patchstack Yesterday we wrote up CVE-2026-87902, the unauthenticated local file inclusion in WordPress page template resolution fixed in 7.1.2. That post covered the sink,

CVE-2026-87902の影響を受けるWordPress

WordPress 7.1.1以前の広い範囲に、CVE-2026-87902の影響があります。
ただし、7.0.6など同時に公開された各系列の修正版は、すでにこの問題へ対処済みです。

WordPressの主な修正版

修正は4.7系列まで提供されていますが、WordPress公式が積極的にサポートするのは最新系列です。
互換性を確認できるなら、古い系列へ残らず最新安定版へ更新するのが基本です。

WordPress 4.6以前には今回の修正版が提供されません。
該当する場合は公開制限を行い、バックアップと動作確認環境を用意して移行してください。

Documentation

Version 7.1.2 On September 22, 2026, WordPress 7.1.2 was released to the public. Installation/Update Information To get this version, update automatically from the Dashboard …

テーマとサーバーの条件が揃うとRCEになる

遠隔コード実行まで成立するには、使用中の親テーマまたは子テーマ直下に、
page-で始まるフォルダがあることなど、複数の条件が必要です。

公式情報では、旧Twenty Twelve・Twenty Fourteenや、
Neve・Hestia・Sydneyなど一部テーマが条件例として挙げられています。

ただし、テーマ名だけで「感染した」「安全だ」とは判断できません。
条件確認に時間を使うより、対象版なら先にWordPress本体を修正版へ更新するのが正解です。

クイックレスキュー

WordPress脆弱性対策の完全ガイド【プラグイン・テーマ・本体の弱点を今日から塞ぐ方法】 WordPressのプラグインやテーマに脆弱性があると聴いて不安になっていませんか？脆弱性とは何か・どのように攻撃されるのかから、今日からできる具体的な対策まで、初心者…

CVE-2026-87902を今すぐ防ぐ対策

最も確実な対策は、WordPress本体を修正版へ更新することです。
WAFやサーバー設定は補助策であり、更新の代わりにはなりません。

WordPress 7.1.2または利用中の系列に対応する修正版へ更新してください！

1. 短時間でバックアップを取り本体を更新する

WordPress管理画面の「ダッシュボード」→「更新」を開き、
WordPress 7.1.2または利用中の系列に対応する修正版へ更新します。

更新前にファイルとデータベースを保存しますが、
危険な状態を長時間公開したまま、完璧なバックアップ作業へ時間をかけすぎないでください。

すでに改ざんや不審ファイルが見つかっている場合は、先にアクセスを制限して証拠を保全し、感染状態を消さずに専門家へ相談してください。

クイックレスキュー

WordPressのバックアップから復元まで｜サーバー移転を安全に進める方法 WordPressのバックアップから復元まで安全に進めたい方へ。復元前チェック、新サーバー確認、DNS切り替え、完了判断まで順番に整理します。

2. 更新後のバージョンと本体ファイルを確認する

サーバーでWP-CLIを使える方は、次の読み取りコマンドで、
現在のバージョンとWordPress本体ファイルの整合性を確認できます。

wp core version
wp core verify-checksums

WP-CLIが使えない場合は、管理画面の「ダッシュボード」→「更新」でバージョンを確認します。
レンタルサーバーのWordPress管理機能を使っている方は、更新結果も確認してください。

3. WAFとPHP設定は応急処置として使う

すぐに更新できない特殊な事情がある場合は、WAFでページ名に含まれる、
不自然なトラバーサル表現を拒否する方法が応急処置になります。

register_argc_argvを無効にすると、現在観測されているPEAR経由の攻撃連鎖を止めやすくなります。
ただし、PHPファイルを不正に読み込ませる根本の脆弱性までは直りません。

CVE-2026-87902攻撃を受けたか確認する方法

WordPressを更新しても、更新前に作られた不正ファイルやバックドアは自動では消えません。
修正前の状態で公開していたサイトは、更新と侵害確認をセットで行ってください。

アクセスログで特徴的な組み合わせを探す

現在観測されている攻撃では、pagenameとpage_idが同時に使われ、
符号化されたトラバーサルやpearcmdを含む通信が確認されています。

GETだけでなくPOST本文にも値が入るため、通常のアクセスログだけでは見えない場合があります。
WAFログ、Webサーバーログ、プロキシログを同じ時刻で照合してください。

不審ファイルだけでなくサイト全体を調べる

Patchstackは/tmpや/var/tmpに、
wp-pear-rce-flag.phpやpoc87902.phpなどが作られた事例を報告しています。

ただし、ファイル名は攻撃者が自由に変えられます。
報告済みの名前がないことだけで、安全とは判断できません。

わたしの実務では、修正済みバージョンへ更新しただけで復旧完了とはしません。侵害の有無、残存ファイル、管理者、Cron、データベースまで確認します。

クイックレスキュー

WordPressがハッキングされたかも？今すぐ確認する初心者チェックリスト WordPressがハッキングされたかもと思った時の確認チェックリスト。表示異常、管理者ユーザー、検索結果、外部警告から危険度を判断します。

クイックレスキュー

WordPressが改ざんされたか確認する方法｜乗っ取り被害を見分けるチェック項目 WordPressが改ざんされたか確認する方法を、公開画面、検索結果、管理画面、ファイル、データベースの順に整理しました。乗っ取り被害と単なる不具合を見分けたい方へ、初…

CVE-2026-87902でよくある質問

CVE-2026-87902は条件付きで重大被害へ発展するため、
「自分は対象か」「更新だけでよいか」という疑問を分けて考える必要があります。

WordPress 7.1.2なら安全ですか？

CVE-2026-87902の脆弱性は修正されています。ただし、更新前に侵害されて作られた不正ファイルやバックドアまでは削除されません。修正前に公開していた場合は、ログとファイルの確認も行ってください。

該当テーマを使っていなければ更新しなくてよいですか？

いいえ。遠隔コード実行の条件にテーマ構造が関係しますが、WordPress本体の不正なファイル読み込み自体を直すには更新が必要です。テーマ名だけで安全と判断せず、対象版なら修正版へ更新してください。

セキュリティプラグインを入れていれば防げますか？

製品やWAFルールによっては攻撃を遮断できますが、すべての環境で保証されるものではありません。最優先はWordPress本体の更新です。プラグインやWAFは多層防御として併用してください。

クイックレスキュー365加入者は何をすればよいですか？

ご加入中の管理対象サイトは必要な対策を実施済みです。お客様側で慌てて変更する必要はありません。万一感染が確認された場合も、緊急時即時対応で調査・駆除・復旧します。

CVE-2026-87902の対策まとめ

CVE-2026-87902は、WordPress本体のページテンプレート探索を悪用し、
テーマ外のPHPを読み込ませる重大な脆弱性です。

未ログインで攻撃でき、条件が揃うとファイル書き込みや遠隔コード実行へ発展します。
2026年9月24日時点で実際の攻撃が観測されているため、様子見は避けてください。

対策に自信がない場合は、更新できたつもりで止めず、
現在のバージョン、ログ、ファイル、管理者まで専門家に確認してもらうことをおすすめします。

CVE-2026-87902対策を専門家に任せたい方へ

WordPressの緊急更新、バックアップ、セキュリティ対策を自分で管理するのが不安なら、
クイックレスキュー365へお任せください。

まだ加入していない方は、次の脆弱性が攻撃される前に、今すぐ継続保守と緊急復旧の体制を整えてください。

すでに不審ファイル、改ざん、別サイトへの転送、見覚えのない管理者などがある場合は、
更新だけで済ませず、感染調査と完全復旧をご依頼ください。

クイックレスキューが、証拠保全・感染範囲の確認・駆除・サイト復旧・再発防止までまとめて対応します。